CN110198310A - 一种网络行为反作弊方法、装置及存储介质 - Google Patents

Abstract

本申请提供一种网络行为反作弊方法、装置及存储介质，所述方法包括：获取网络行为的日志记录信息；基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息；基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征；将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果；对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。本申请能够提高降低误杀率，提高反作弊的准确率。

Description

一种网络行为反作弊方法、装置及存储介质

技术领域

本申请属于互联网技术领域，具体涉及一种网络行为反作弊方法、装置及存储介质。

背景技术

网络行为反作弊方法是一种通过监控网络流量、关注网上异常行为，从而提高专有网络安全性的手段。

现有的反作弊方法大都是基于规则策略的方法，比如分析硬件信息国际移动设备识别码(International Mobile Equipment Identity，IMEI)是否符合标准，不符合则判断为作弊行为，或基于广告点击频次和频率，加上一些行为规则，再利用历史数据建黑库作为作弊行为识别的规则策略。

但现有的基于规则策略的方法存在以下缺陷：适应性差，不能自适应新的作弊模式，当作弊方法改变，规则也需要迭代改；通用性不好，基于规则策略的方法针对不同的场景规则也不同，比如视频播放流水反作弊的规则和广告反作弊的规则必然是不同的，因此需要为每个场景开发和维护不同的规则模型；成本较高，需要花大量时间先分析数据，从数据中总结作弊方法以及反作弊的规则；覆盖率低，只能识别出初级的流量作弊方法，比如模拟器等作弊方法；误杀率高，比如有些山寨机、早期机型或者维修过主板的手机的IMEI不符合规范，但是不代表这些机型的用户所产生的流量都是作弊流量，有些IMEI参与过视频流水的作弊行为，不代表会参与广告作弊的行为。

发明内容

为了改善反作弊方法的适应性较差、通用性不好、覆盖率较低以及误杀率较高的问题，本申请提出一种网络行为反作弊方法、装置及存储介质。

一方面，本申请提出了一种网络行为反作弊方法，所述方法包括：

获取网络行为的日志记录信息；

基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息；

基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征；

将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果；

对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

另一方面，本申请提出了一种网络行为反作弊装置，所述装置包括：

第一获取模块，用于获取网络行为的日志记录信息；

第二获取模块，用于基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息；

第三获取模块，用于基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征；

第一识别模块，用于将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

第二识别模块，用于将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果；

融合分析模块，用于对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

另一方面，本申请提出了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以上述所述的网络行为反作弊方法。

本申请提出的一种网络行为反作弊方法、装置及存储介质，通过网络行为的日志记录信息中的用户账号信息和/或设备标识信息，获取至少一个网络行为特征，将该网络行为特征分别输入无监督识别模型和有监督识别模型进行作弊识别处理，接着将无监督识别模型的识别结果和有监督识别模型的识别结果进行融合分析处理，得到该网络行为的作弊分析结果。因本申请是根据用户账号信息和/或设备标识信息提取的特征，特征维度高，且特征的提取与具体的应用场景无关，通用性强，同时无需花费大量的时间分析数据的规律性，成本较低，再者，使用无监督学习模型能够识别出假机、真机假用户、真用户假行为等多种作弊行为，覆盖率较高，此外，在无监督学习识别出作弊行为后，还会使用监督学习模型进行校验和验证，降低误杀率。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案和优点，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它附图。

图1是本申请实施例提供的一种网络行为反作弊系统的架构图。

图2是本申请实施例提供的一种网络行为反作弊方法的流程示意图。

图3是本申请实施例提供的基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征的一种流程示意图。

图4是本申请实施例提供的获取所述无监督识别模型的一种流程示意图。

图5是本申请实施例提供的获取所述有监督识别模型的一种流程示意图。

图6是本申请实施例提供的获取用户画像特征的一种流程示意图。

图7是本申请实施例提供的一种应用场景图。

图8是本申请实施例提供的一种网络行为反作弊装置的结构示意图。

图9是本申请实施例提供的一种服务器的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或服务器不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在实际应用中，常见的网络作弊方式可以至少包括机器作弊和人为作弊，机器作弊又可以包括机器刷量、任务分发、流量劫持等，人为作弊又可以包括Q群/水军、直接人工、诱导等。常见的网络作弊手段可以至少包括：刷单，刷信誉，刷好评，职业差评师等电商作弊手段、洗钱，诈骗等支付平台作弊手段、数据造假、刷流量(引流-广告展示-广告点击-转化)等广告作弊手段，刷粉丝、刷点击、阅读量等自媒体或社交软件作弊手段、使用作弊手段刷排名等搜索作弊手段等。

合理的反作弊方法能够准确地识别出作弊行为，降低作弊行为的误判率。

请参阅图1，图1所示为本申请实施例提供的一种网络行为反作弊系统的架构图，该网络行为反作弊系统可以作为网络行为反作弊方法的实施环境。如图1所示，该网络行为反作弊系统可以至少包括用户画像、特征提取、模型预测、数据存储等。

具体地，用户画像可以至少包括位置画像、账号画像、互联网协议地址(InternetProtocol Address，IP)画像、设备画像等。

具体地，特征提取可以至少包括提取特征后台、提取用户画像后台。

具体地，模型预测可以至少包括无监督预测、有监督预测、提取黑名单、融合等。其中，无监督预测可以为通过孤立森林评估异常度，有监督预测可以为通过极端梯度提升(eXtreme Gradient Boosting，XGBoost)模型预测结果。

具体地，数据存储可以至少包括HBase、Hive、MySQL，其中，HBase是一个分布式的、适合于非结构化数据存储的、面向列的开源数据库。Hive是一个数据仓库工具、可以将结构化的数据文件映射为一张数据库表，并提供简单的结构化查询语言的查询功能。MySQL是一个关系型数据库管理系统。

以下介绍本申请一种网络行为反作弊方法，图2是本申请实施例提供的一种网络行为反作弊方法的流程示意图，本说明书提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的系统或服务器产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。具体的如图2所示，所述方法可以包括：

S201.获取网络行为的日志记录信息。

本说明书实施例中，所述网络行为可以至少包括访问网站、收发邮件、上传和下载、即时通信、聊天、论坛、网络游戏、流媒体视频、广告投放等。

在实际应用中，该网络行为可以为发生在智能手机、台式电脑、平板电脑、笔记本电脑、数字助理、智能可穿戴设备、车载、音箱、电视、机器人等类型的实体设备中的行为，也可以为发生在运行于实体设备中的软体，例如虚拟机中的行为等。

本说明书实施例中，在某个网络行为发起后，会产生与该网络行为相对应的流量日志，获取与该网络行为相对应的流量日志信息。

S203.基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息。

本说明书实施例中，可以从流量日志记录信息中，获取至少一个用户账号信息和/或至少一个设备标识信息。其中，用户账号信息包括但不限于即时通信类账号、购物类账号、投资理财类账号、资讯类账号等，而即时通信账号又可以进一步包括QQ账号、微等账号等，设备标识信息包括但不限于互联网协议地址(Internet Protocol Address，IP)、IMEI、应用于IOS系统的广告标识符(Identifier For Advertising，IDFA)、设备唯一标识码(Unique Device Identifier，UDID)、浏览器标识(User Agent，UA)等。

S205.基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征。

在一些实施例中，如图3所示，所述基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征，可以包括：

S301.获取所述网络行为的时间序列。

可以理解，所述时间序列，是一组按照上报的时间先后顺序进行排列的数据点所形成的数列。

S303.基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，对所述时间序列进行统计分析，得到至少一个统计特征。

S305.拟合所述时间序列中的趋势分布，得到至少一个拟合特征。

S307.提取所述时间序列中用于分类的数据，得到至少一个分类特征。

在一个可行的实施例中，可以以流量日志中的IP、QQ、IMEI、IDFA等为基础，分别提取每小时、每天、以及一周内的统计特征，所述统计特征包括但不限于最大值、最小值、均值、方差、中位数、同比、环比、偏度、峰度等；所述拟合特征包括但不限于移动平均、带权重的移动平均、指数移动平均、二次指数移动平均、三次指数移动平均、奇异值分解、一元线性回归、二元线性回归等；所述分类特征包括但不限于熵特征、值分布特征、小波分布特征等。

在一个可行的实施例中，以视频播放流水反作弊为例，可以统计每个IMEI下每小时观看视频的次数，观看视频的个数，观看的每个视频的次数分布，包括最大次数，最小次数，中位数、均值以及标准差等统计特征，IMEI对应的QQ个数，IP个数，时长等。相应地，以IP、IDFA、QQ等为基础也可以提取相关特征。如果IMEI只观看某个视频(可以获取该视频的视频标识符，即VID标识)，观看次数高达上百次，则这个IMEI针对该视频的行为可能存在刷量作弊行为，因此可以将该IMEI观看某个视频的次数达到上百次作为一个特征；如果一个IMEI设备上登录的QQ个数达到几十个，则该设备也可能存在作弊行为，因此可以将该IMEI上登录的QQ个数达到几十个作为一个特征。

本说明书实施例中，可以处理IP、QQ、IP、IMEI、IDFA等多个账号和标识，实现了账号多维度和标识多维度。同时根据多个账号和/或标识可以提取统计特征、拟合特征和分类特征，且可以以每小时、每天以及一周来扩充统计特征，实现了特征多维度。再者，由于本说明书实施例依据IP、QQ、IP、IMEI、IDFA等提取特征，和具体的应用场景无关，即可以适用于各种场景，比如视频播放流水反作弊场景、广告反作弊场景等，通用性较好。此外，依据IP、QQ、IP、IMEI、IDFA等提取特征，无需花大量时间分析数据，无需分析数据的规律性，只需从数据中提取时间序列、统计等特征，并对这些特征进行交叉组合即可。

S207.将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果。

本说明书实施例中，在得到网络行为特征之后，还可以将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征中的至少一个，输入无监督识别模型进行初级作弊识别处理，得到该网络行为属于作弊行为的第一识别结果。

在一些实施例中，所述无监督识别模型包括但不限于孤立森林模型、递归神经网络模型、一类支持向量机、指数加权移动平均算法模型等。因无监督识别模型不需要标注，且可以尽可能地识别出各种作弊行为和作弊规律，提高作弊行为识别的覆盖率。

在一个可行的实施例中，第一识别结果的类型与无监督模型的种类有关，比如，该第一识别结果可以是该网络行为属于作弊行为或该网络行为不属于作弊行为。该第一识别结果还可以为该网络行为属于作弊行为的概率值，该概率值可以为一个浮点值，其取值范围可以为0～1。浮点值越大，代表流量越异常，为作弊流量可能性就越高。

在一个可行的实施例中，如图4所示，所述方法还可以包括获取所述无监督识别模型的步骤，所述获取所述无监督识别模型可以包括：

S401.获取样本网络行为的第一样本日志记录信息。

S403.基于所述第一样本日志记录信息，确定至少一个第一样本用户账号信息和/或至少一个第一样本设备标识信息。

S405.基于所述至少一个第一样本用户账号信息和/或所述至少一个第一样本设备标识信息，获取至少一个第一样本网络行为特征。

在一个可行的实施例中，可以获取样本网络行为的日志流水信息，形成第一样本日志记录信息，接着可以分析该第一样本日志记录信息，以IP、IMEI、IDFA、QQ等为基础，分别从该第一样本日志记录信息中提取至少一个第一样本网络行为特征。

训练无监督识别模型中的样本网络行为特征的提取与测试过程中的网络行为特征的提取类型类似，具体请参考S205、S301-S307，在此不再赘述。

S407.将所述至少一个第一样本网络行为特征输入第一学习模型进行无监督学习训练，并将无监督学习训练得到的模型确定为所述无监督识别模型。

S209.将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

本说明书实施例中，在得到网络行为特征之后，还可以将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征中的至少一个输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

在一些实施例中，所述有监督识别模型包括但不限于XGBoost，决策树模型(Gradient Boosting Decision Tree，GBDT)、梯度提升模型(Gradient Boosting，GB)等。

本说明书实施例中，使用无监督识别模型，比如孤立森林模型去发现作弊流水，或者具有创新性的作弊规律，尽可能地将所有作弊流水都识别出，但是在使用无监督模型识别作弊流水过程中，有可能会存在一定量的误杀，为了降低误杀率，还可以使用有监督识别模型对特征进行识别，从而可以对无监督识别模型的识别结果进行校准和验证，降低误杀率，提高反作弊准确率。

在一个可行的实施例中，如图5所示，所述方法还包括获取所述有监督识别模型的步骤，所述获取所述有监督识别模型的步骤可以包括：

S501.获取样本网络行为的第二样本日志记录信息。

S503.获取所述样本网络行为是否属于作弊行为的标注结果。

S505.基于所述第二样本日志记录信息，确定至少一个第二样本用户账号信息和/或至少一个第二样本设备标识信息。

S507.基于所述至少一个第二样本用户账号信息和/或所述至少一个第二样本设备标识信息，获取至少一个第二样本网络行为特征。

在一个可行的实施例中，可以获取样本网络行为的日志流水信息，形成第二样本日志记录信息，接着可以分析该第二样本日志记录信息，以IP、IMEI、IDFA、QQ等为基础，分别从该第二样本日志记录信息中提取至少一个第二样本网络行为特征。

在实际应用中，训练有监督识别模型中的样本网络行为特征的提取与测试过程中的网络行为特征的提取类型类似，请参考S205、S301-S307，在此不再赘述。

需要说明的是，第二样本日志记录信息与第一样本日志记录信息本质上是相同的，本说明书实施例中为了区分有监督模型和无监督模型的训练，从而将其定义为第二样本日志记录信息与第一样本日志记录信息。

在一个可行的实施例中，第二样本日志记录信息还可以从无监督模型的预测结果中获取，以无监督模型为孤立森林模型为例进行说明，在孤立森林模型训练好之后，使用孤立森林模型对日志流水进行识别预测，孤立森林模型可以预设时间，比如每天或每周进行迭代更新，将使用孤立森林模型预测后的结果存入日志，设置阈值，根据孤立森林模型返回的值得到黑、白样本，再结合人工少量的验证，放入标签库中，从标签库中采集正负样本并按照S205、S301-S307的方法提取第二样本网络行为特征，并以该第二样本网络行为特征为基础训练有监督学习模型，比如XGBoost模型等。因为孤立森林模型不需要标注，且能够尽可能地将所有作弊行为识别出，使用孤立森林模型的预测结果作为训练样本，可以大大减少训练XGBoost模型的人工标注，提高XGBoost模型的识别准确率。

S509.将所述至少一个第二样本网络行为特征输入第二学习模型，以所述样本网络行为是否属于作弊行为的标注结果作为回归目标，对所述第二学习模型进行有监督学习训练，并将有监督学习训练得到的模型确定为所述有监督识别模型。

在一个可行的实施例中，孤立森林和XGBoost模型可以根据最新的数据每天或每周离线更新，自动适应新数据和挖掘新的作弊方式，从而保证反作弊的准确率，降低误杀率。

在实际应用中，孤立森林模型和XGBoost模型可以进行自我学习和迭代优化，但是如果人力够，前期对数据进行大量的打标，可以保证在前期模型就有非常好的效果。

S2011.对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

本说明书实施例中，在得到第一识别结果和第二识别结果之后，还可以对第一识别结果和第二识别结果进行融合分析处理，以得到网络行为的作弊分析结果。

在一些实施例中，在所述基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征之后，所述方法还可以包括：

将所述至少一个网络分析特征与黑名单进行匹配，得到所述网络行为属于作弊行为的第三识别结果。

在实际应用中，可以预先通过分析大量的日志流水，得到黑名单库或白名单库，并将获取到的特征与黑名单库或白名单库进行匹配，如果与黑名单库匹配上，则表明该网络行为作弊行为，若没有匹配上，则表明该网络行为是非作弊行为。

在实际应用中，有每天迭代更新的XGBoost模型和孤立森林模型以及IP、IMEI、IDFA、QQ黑名单库，当用户请求过来，会使用训练好的两个模型预测，再和黑名单匹配结果进行融合，得出记录的最终评估值，并把数据入库，用于迭代训练新模型，进一步提高反作弊的准确率，降低误杀率。

在一些实施例中，对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果，还可以包括：

对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

在一个可行的实施例中，所述对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果，可以包括：若所述第一识别结果、所述第二识别结果、所述第三识别结果中的至少两个表征所述网络行为属于作弊行为，则将所述网络行为确定为作弊行为。

在实际应用中，如果第一识别结果、所述第二识别结果和所述第三识别结果中的至少两个结果均表征该网络行为为作弊行为，则确定该网络行为为作弊行为。

在一个可行的实施例中，所述对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果，还可以包括：将所述第一识别结果、所述第二识别结果和所述第三识别结果输入融合分析模型进行融合分析处理，得到所述网络行为的作弊分析结果。

在实际应用中，可以预先将第一识别结果、所述第二识别结果和所述第三识别结果作为样本特征，使用该样本特征以及相应的标签进行机器学习训练得到所述融合分析模型。在融合分析处理的时候，再使用训练好的融合分析模型对第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

在一个可行的实施例中，如图所示6所示，所述方法还可以包括获取用户画像特征的步骤，所述获取用户画像特征包括：

S601.获取用户画像信息。

S602.基于所述用户画像信息，获取至少一个用户画像特征。

在一个可行的实施例中，用户画像信息包括但不限于位置画像、账号画像、IP画像、设备画像等，用户画像特征包括但不限于IP的地理位置、IP下发的多个活跃账号、与IP对应的IMEI、与IP对应的QQ、IP状态、IMEI状态、QQ状态、IMEI的地理位置、QQ的地理位置等。

在实际应用中，网络黑产不会只在一个业务场景进行流量作弊来谋取利益，而且黑产使用的IP、IMEI、QQ号等设备账号资源需要一定成本，黑产拥有的数量相对有限，在其他场景数据中也可以提取到有用的特征，可以理解的是，网络黑产指的是以互联网为媒介，以网络技术为主要手段，为计算机信息系统安全和网络空间管理秩序，甚至国家安全、社会政治稳定带来潜在威胁(重大安全隐患)的非法行为。因此，从用户画像特征可以作为对网络行为特征的补充，以进一步增加特征的维度，从而进一步提高反作弊的准确率，提高覆盖率。

相应地，在一个可行的实施例中，所述将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果，还可以包括：

将所述至少一个网络行为特征和所述至少一个用户画像特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果。

所述将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果，还可以包括：

将所述至少一个网络行为特征和所述至少一个用户画像特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

在一个可行的实施例中，在得到所述网络行为的作弊分析结果之后，还可以对作弊行为进行反作弊处理，比如拦截作弊行为的操作，或对进行数据传输的数据通道进行加密处理和/或设置验证信息。

在一个可行的实施例中，在得到所述网络行为的作弊分析结果之后，可以根据被判断为作弊行为的网络行为的IP、IMEI、QQ、IDFA、IP等，寻找具有其他相似行为的其他网络行为、账号或设备等。比如以寻找作弊团伙为例，可以根据用户行为计算用户之间的相似度，并构建用户关系图，若两个用户之间的相似度大于预设阈值，则说明这两个用户有关系，则在用户关系图中用一条边将这两个用户连接，如此计算所有用户两两之间的相似度，就可以得到完整的用户关系图，再从用户关系图中提取最大连通子图，每个最大连通子图都对应一个用户团体，若最大连通子图满足预设规则，则说明该最大连通子图对应的用户团体为作弊团伙。其中，可以计算用户发起的网络行为中的日志流水信息中的数据权重，根据该权重计算所有用户中每两个用户之间的相似度。

在一个可行的实施例中，还可以通过图传播的算法，以已经抓取的作弊行为为基础，寻找具有相似行为的作弊团伙。

图7所示为本说明书实施例提供的一种应用场景图，如图7所示，当用户发起某个网络行为时，以应用序编程接口(Application Programming Interface，API)形式调用，用户把每次流量请求的记录通过URL传参的形式传入后台(其中，URL是统一资源定位符，对可以从互联网上得到的资源的位置和访问方法的一种简洁的表示，是互联网上标准资源的地址)，后台会对日志流进行分析，提取IP、IMEI、IDFA、QQ等信息，并根据该信息提取网络行为特征，同时后台通过用户画像提取用户画像特征，该网络行为特征和用户画像特征将形成一个整体特征，接着利用已经训练好的孤立森林模型、XGBoost模型和黑名单分别对该整体特征进行作弊识别处理，并将不同方式得到的识别结果输入融合模型进行融合分析处理，从而得到所述网络行为的作弊分析结果。一方面，本申请根据用户账号信息和/或设备标识信息提取的特征，特征维度高，另一方面，特征的提取与具体的应用场景无关，通用性强，另一方面，无需花费大量的时间分析数据的规律性，成本较低，另一方面，使用无监督学习模型能够识别出假机、真机假用户、真用户假行为等多种作弊行为，覆盖率较高，且在无监督学习识别出作弊行为后，还会使用监督学习模型和黑名单进行校验和验证，降低误杀率，达到高覆盖低误杀的效果，另一方面，对于数据而言，通过无监督识别模型和有监督识别模型的输出以及前期少量的人工打标，可以构建出大量的标签库和黑白库，形成一个数据闭环，另一方面，还可以收集孤立森林模型的预测结果，将使用孤立森林模型预测后的结果存入日志，设置阈值，根据孤立森林模型返回的值得到黑、白样本，再结合人工少量的验证，放入标签库中，从标签库中采集正负样本训练有监督学习模型，因为孤立森林模型不需要标注，且能够尽可能第将所有作弊行为识别出，使用孤立森林模型的预测结果作为训练样本，可以大大减少训练XGBoost模型的人工标注。

本说明书实施例还提供了一种网络行为反作弊装置，如图8所示，所述装置可以包括：

第一获取模块801，用于获取网络行为的日志记录信息。

第二获取模块803，用于基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息。

第三获取模块805，用于基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征。

第一识别模块807，用于将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果。

第二识别模块809，用于将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

融合分析模块8011，用于对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

在一些实施例中，所述第三获取模块805可以进一步包括：

时间序列获取单元，用于获取所述网络行为的时间序列。

统计特征获取单元，用于基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，对所述时间序列进行统计分析，得到至少一个统计特征。

拟合特征获取单元，用于拟合所述时间序列中的趋势分布，得到至少一个拟合特征。

分类特征获取单元，用于提取所述时间序列中用于分类的数据，得到至少一个分类特征。

在一些实施例中，所述第一识别模块807可以进一步用于将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征输入所述无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果。所述第二识别模块809可以进一步用于将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征输入所述有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

在一些实施例中，所述装置还可以包括第三识别模块，所述第三识别模块可以用于将所述至少一个网络分析特征与黑名单进行匹配，得到所述网络行为属于作弊行为的第三识别结果。相应地，所述融合分析模块还可以进一步用于对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

在一些实施例中，所述融合分析模块还可以进一步用于若所述第一识别结果、所述第二识别结果、所述第三识别结果中的至少两个表征所述网络行为属于作弊行为，则将所述网络行为确定为作弊行为。

在一些实施例中，所述融合分析模块还可以进一步用于将所述第一识别结果、所述第二识别结果和所述第三识别结果输入融合分析模型进行融合分析处理，得到所述网络行为的作弊分析结果；其中，所述融合分析模型通过机器学习训练获得。

在一些实施例中，所述装置还可以包括无监督识别模型获取模块，所述无监督识别模型获取模块可以进一步包括：

第一样本日志记录信息获取单元，用于获取样本网络行为的第一样本日志记录信息。

第一样本用户账号信息和/或第一样本设备标识信息获取单元，用于基于第一样本日志记录信息，确定至少一个第一样本用户账号信息和/或至少一个第一样本设备标识信息。

第一样本网络行为特征获取单元，用于基于所述至少一个第一样本用户账号信息和/或所述至少一个第一样本设备标识信息，获取至少一个第一样本网络行为特征。

无监督学习训练单元，用于将所述至少一个第一样本网络行为特征输入第一学习模型进行无监督学习训练，并将无监督学习训练得到的模型确定为所述无监督识别模型。

在一些实施例中，所述装置还可以包括有监督识别模型获取模块，所述有监督识别模型获取模块进一步可以包括：

第二样本日志记录信息获取单元，用于获取样本网络行为的第二样本日志记录信息。

标注结果获取单元，用于获取所述样本网络行为是否属于作弊行为的标注结果。

第二样本用户账号信息和/或第二样本设备标识信息获取单元，用于基于第二样本日志记录信息，确定至少一个第二样本用户账号信息和/或至少一个第二样本设备标识信息。

第二样本网络行为特征获取单元，用于基于所述至少一个第二样本用户账号信息和/或所述至少一个第二样本设备标识信息，获取至少一个第二样本网络行为特征。

有监督学习训练单元，用于将所述至少一个第二样本网络行为特征输入第二学习模型，以所述样本网络行为是否属于作弊行为的标注结果作为回归目标，对所述第二学习模型进行有监督学习训练，并将有监督学习训练得到的模型确定为所述有监督识别模型。

在一些实施例中，所述装置还可以包括用户画像特征获取模块，所述用户画像特征获取模块包括：

用户画像信息获取单元，用于获取用户画像信息。

用户画像特征获取单元，用于基于所述用户画像信息，获取至少一个用户画像特征。

相应地，所述第一识别模块还可以用于将所述至少一个网络行为特征和所述至少一个用户画像特征输入所述无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果。所述第二识别模块还可以用于将所述至少一个网络行为特征和所述至少一个用户画像特征输入所述有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

需要说明的是，本说明书实施例中的装置实施例与上述方法实施例属于相同的发明构思。

本申请实施例还提供了一种网络行为反作弊的设备，该设备包括处理器和存储器，该存储器中存储有至少一条指令、至少一段程序、代码集或指令集，该至少一条指令、该至少一段程序、该代码集或指令集由该处理器加载并执行以实现如上述方法实施例所提供的网络行为反作弊方法。

本申请的实施例还提供了一种存储介质，所述存储介质可设置于终端之中以保存用于实现方法实施例中一种网络行为反作弊方法相关的至少一条指令、至少一段程序、代码集或指令集，该至少一条指令、该至少一段程序、该代码集或指令集由该处理器加载并执行以实现上述方法实施例提供的网络行为反作弊方法。

可选地，在本说明书实施例中，存储介质可以位于计算机网络的多个网络服务器中的至少一个网络服务器。可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

本说明书实施例所述存储器可用于存储软件程序以及模块，处理器通过运行存储在存储器的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、功能所需的应用程序等；存储数据区可存储根据所述设备的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器还可以包括存储器控制器，以提供处理器对存储器的访问。

本申请实施例所提供的一种网络行为反作弊方法实施例可以在移动终端、计算机终端、服务器或者类似的运算装置中执行。以运行在服务器上为例，图9是本申请实施例提供的一种网络行为反作弊方法的服务器的硬件结构框图。如图9所示，该服务器900可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器(CentralProcessing Units，CPU)910(处理器1210可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器930，一个或一个以上存储应用程序923或数据922的存储介质920(例如一个或一个以上海量存储设备)。其中，存储器930和存储介质920可以是短暂存储或持久存储。存储在存储介质920的程序可以包括一个或一个以上模块，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器910可以设置为与存储介质920通信，在服务器900上执行存储介质920中的一系列指令操作。服务器900还可以包括一个或一个以上电源960，一个或一个以上有线或无线网络接口950，一个或一个以上输入输出接口940，和/或，一个或一个以上操作系统921，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等等。

输入输出接口940可以用于经由一个网络接收或者发送数据。上述的网络具体实例可包括服务器900的通信供应商提供的无线网络。在一个实例中，输入输出接口940包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，输入输出接口940可以为射频(RadioFrequency，RF)模块，其用于通过无线方式与互联网进行通讯。

本领域普通技术人员可以理解，图9所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，服务器900还可包括比图9中所示更多或者更少的组件，或者具有与图9所示不同的配置。

需要说明的是：上述本申请实施例先后顺序仅仅为了描述，不代表实施例的优劣。且上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置和服务器实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本申请的较佳实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种网络行为反作弊方法，其特征在于，所述方法包括：

获取网络行为的日志记录信息；

基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息；

基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征；

将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果；

对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

2.根据权利要求1所述的方法，其特征在于，所述基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征，包括：

获取所述网络行为的时间序列；

基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，对所述时间序列进行统计分析，得到至少一个统计特征；

拟合所述时间序列中的趋势分布，得到至少一个拟合特征；

提取所述时间序列中用于分类的数据，得到至少一个分类特征。

3.根据权利要求2所述的方法，其特征在于，

所述将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果，包括：

将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征输入所述无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

所述将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果，包括：

将所述至少一个统计特征、所述至少一个拟合特征和所述至少一个分类特征输入所述有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

4.根据权利要求1所述的方法，其特征在于，在所述基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征之后，所述方法还包括：

将所述至少一个网络分析特征与黑名单进行匹配，得到所述网络行为属于作弊行为的第三识别结果；

所述对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果，还包括：

对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括获取所述无监督识别模型的步骤，所述获取所述无监督识别模型包括：

获取样本网络行为的第一样本日志记录信息；

基于所述第一样本日志记录信息，确定至少一个第一样本用户账号信息和/或至少一个第一样本设备标识信息；

基于所述至少一个第一样本用户账号信息和/或所述至少一个第一样本设备标识信息，获取至少一个第一样本网络行为特征；

将所述至少一个第一样本网络行为特征输入第一学习模型进行无监督学习训练，并将无监督学习训练得到的模型确定为所述无监督识别模型。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括获取所述有监督识别模型的步骤，所述获取所述有监督识别模型的步骤包括：

获取样本网络行为的第二样本日志记录信息；

获取所述样本网络行为是否属于作弊行为的标注结果；

基于所述第二样本日志记录信息，确定至少一个第二样本用户账号信息和/或至少一个第二样本设备标识信息；

基于所述至少一个第二样本用户账号信息和/或所述至少一个第二样本设备标识信息，获取至少一个第二样本网络行为特征；

将所述至少一个第二样本网络行为特征输入第二学习模型，以所述样本网络行为是否属于作弊行为的标注结果作为回归目标，对所述第二学习模型进行有监督学习训练，并将有监督学习训练得到的模型确定为所述有监督识别模型。

7.根据权利要求4所述的方法，其特征在于，所述对所述第一识别结果、所述第二识别结果和所述第三识别结果进行融合分析处理，得到所述网络行为的作弊分析结果，包括：

若所述第一识别结果、所述第二识别结果、所述第三识别结果中的至少两个表征所述网络行为属于作弊行为，则将所述网络行为确定为作弊行为；或，

将所述第一识别结果、所述第二识别结果和所述第三识别结果输入融合分析模型进行融合分析处理，得到所述网络行为的作弊分析结果；其中，所述融合分析模型通过机器学习训练获得。

8.根据权利要求1所述的方法，其特征在于，

所述方法还包括获取用户画像特征的步骤，所述获取用户画像特征包括：

获取用户画像信息；

基于所述用户画像信息，获取至少一个用户画像特征；

相应地，所述将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果，还包括：

将所述至少一个网络行为特征和所述至少一个用户画像特征输入所述无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

所述将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果，还包括：

将所述至少一个网络行为特征和所述至少一个用户画像特征输入所述有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果。

9.一种网络行为反作弊装置，其特征在于，所述装置包括：

第一获取模块，用于获取网络行为的日志记录信息；

第二获取模块，用于基于所述日志记录信息，获取至少一个用户账号信息和/或至少一个设备标识信息；

第三获取模块，用于基于所述至少一个用户账号信息和/或所述至少一个设备标识信息，获取至少一个网络行为特征；

第一识别模块，用于将所述至少一个网络行为特征输入无监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第一识别结果；

第二识别模块，用于将所述至少一个网络行为特征输入有监督识别模型进行作弊识别处理，得到所述网络行为属于作弊行为的第二识别结果；

融合分析模块，用于对所述第一识别结果和所述第二识别结果进行融合分析处理，得到所述网络行为的作弊分析结果。

10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如权利要求1-8任一所述的网络行为反作弊方法。